RIA : les interdictions et la maîtrise de l'IA s'appliquent depuis le 2 février 2025. Votre entreprise est-elle à jour ?
RIA : les interdictions et la maîtrise de l'IA s'appliquent depuis le 2 février 2025. Votre entreprise est-elle à jour ?
Depuis le 2 février 2025, les pratiques d'IA interdites et l'obligation de maîtrise de l'IA s'appliquent à toutes les entreprises. Premier volet de notre série sur le calendrier du RIA : comment vérifier votre conformité et rattraper le retard.
Le règlement européen sur l'intelligence artificielle (RIA) se déploie par paliers successifs jusqu'au 2 août 2027. La première échéance est passée depuis plus d'un an : depuis le 2 février 2025, les chapitres I et II du règlement s'appliquent à toute entreprise qui développe ou utilise des systèmes d'IA dans l'Union. Beaucoup de startups et PME tech n'ont pourtant procédé à aucune vérification. Cet article, premier d'une série de quatre consacrée au calendrier du RIA, fait le point sur ces obligations déjà en vigueur et sur la manière de rattraper le retard.
L'essentiel en 30 secondes. Depuis le 2 février 2025, l'article 5 du RIA interdit huit pratiques d'IA jugées incompatibles avec les droits fondamentaux, et l'article 4 impose aux fournisseurs comme aux déployeurs de favoriser la maîtrise de l'IA de leur personnel, dans une version assouplie par l'omnibus IA de juillet 2026. La violation des interdictions expose à une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Un audit de vos cas d'usage et un plan de formation documenté suffisent, dans la plupart des situations, à sécuriser cette première marche.
Les pratiques interdites : une ligne rouge absolue
L'article 5 du règlement prohibe la mise sur le marché comme l'utilisation de certains systèmes d'IA, sans exception ni régime transitoire. Figurent notamment dans cette liste les techniques subliminales ou manipulatrices qui altèrent substantiellement le comportement d'une personne, l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale, la notation sociale généralisée, la reconnaissance des émotions sur le lieu de travail et dans l'enseignement, ou encore le moissonnage non ciblé d'images faciales pour constituer des bases de reconnaissance.
Cette liste s'allonge : le règlement omnibus IA de juillet 2026 y ajoute les systèmes générant du matériel intime non consenti ou pédocriminel, interdits à compter du 2 décembre 2026, ce qui impose aux éditeurs d'outils génératifs d'auditer leurs garde-fous.
Ces interdictions paraissent éloignées du quotidien d'une startup. Elles le sont moins qu'il n'y paraît. Un module de scoring comportemental intégré à une plateforme RH, un outil d'analyse des émotions dans un logiciel de visioconférence ou une mécanique d'engagement exploitant les biais d'utilisateurs mineurs peuvent tomber sous le coup de l'article 5. La qualification dépend de l'usage concret du système, pas de l'intention du concepteur. Un audit de vos fonctionnalités s'impose donc, y compris pour les briques d'IA achetées auprès de tiers.
La maîtrise de l'IA : une obligation transversale sous-estimée
L'article 4, dans sa rédaction issue de l'omnibus IA de juillet 2026, impose aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel, sans exiger de garantir un niveau spécifique pour chaque individu. Cette obligation vise toute entreprise qui utilise de l'IA, même de manière accessoire : un cabinet qui exploite un outil génératif ou une PME qui déploie un agent conversationnel sont concernés.
Le texte ne prescrit aucun format, et la Commission publie des exemples pratiques pour guider les entreprises. La mesure attendue s'adapte aux connaissances techniques des équipes, au contexte d'utilisation et aux personnes exposées aux systèmes. En pratique, un programme de formation documenté, proportionné à vos usages, reste le socle recommandé : l'exposition juridique a diminué avec l'assouplissement du texte, mais ce livrable rassure vos clients grands comptes, qui intègrent désormais la gouvernance de l'IA dans leurs questionnaires fournisseurs.
Que risque une entreprise encore non conforme ?
Le régime de sanctions est opérationnel depuis le 2 août 2025, date à laquelle les États membres devaient avoir désigné leurs autorités et adopté leurs régimes de sanctions. Pour les pratiques interdites, l'amende peut atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le texte prévoit que les sanctions tiennent compte des intérêts des PME et des jeunes pousses, ce qui module le risque sans l'éliminer.
Le risque le plus immédiat pour une jeune entreprise n'est d'ailleurs pas l'amende. C'est la due diligence : un investisseur en levée de fonds ou un grand compte en appel d'offres vérifiera votre positionnement au regard de l'article 5 et l'existence d'un dispositif de maîtrise de l'IA. Une non-conformité détectée à ce stade pèse sur la valorisation ou disqualifie une candidature. À l'inverse, une cartographie propre de vos cas d'usage devient un argument commercial différenciant.
Rattraper le retard : trois chantiers concrets
La mise à niveau tient en trois étapes. D'abord, cartographier l'ensemble des systèmes d'IA développés, intégrés ou utilisés par l'entreprise, y compris les outils SaaS du quotidien. Ensuite, qualifier chaque cas d'usage au regard des pratiques interdites, en documentant l'analyse pour pouvoir la produire en cas de contrôle ou d'audit. Enfin, former les équipes et conserver la preuve de cette formation. Ces trois chantiers préparent aussi les échéances suivantes du calendrier, notamment celle du 2 décembre 2027 qui déclenchera les règles applicables aux systèmes à haut risque de l'annexe III, telle que reportée par l'omnibus IA.
Vous souhaitez vérifier la conformité de vos systèmes d'IA aux obligations déjà applicables ou bâtir votre feuille de route RIA ? Le cabinet accompagne startups et PME tech dans cet audit et sa valorisation commerciale. Prendre rendez-vous pour une consultation
Sources
- Protéger ses créations
- Sécuriser ses données
- Contractualiser son activité
.png){kind=small}